PHP-окаліпсис: як дві критичні вебпомилки ледь не зламали інтернет

Виявлені дефекти безпеки отримали офіційні індекси CVE-2026-109618 та CVE-2026-109619. Помилки належать до найнебезпечнішої категорії віддаленого виконання коду (RCE). Вони дозволяють зловмисникам отримувати доступ до серверів і змінювати дані без паролів або дій з боку користувача. Організація PHP Foundation оприлюднила виправлення після закритого періоду координації з провідними технологічними гравцями, однак загроза залишається актуальною для мільйонів неналаштованих систем.

Масштаб загрози зумовлений поширеністю технології: близько 70% вебсайтів глобального інтернету функціонують на базі PHP. Мова забезпечує роботу таких масових систем управління контентом, як WordPress, Drupal і MediaWiki, а також застосовується у корпоративному мережевому обладнанні, брандмауерах та сховищах даних. Задля встановлення захисних патчів низка комерційних банків, ритейлерів, медичних установ та операторів критичної інфраструктури були змушені тимчасово призупиняти роботу онлайн-сервісів.

Попри спроби зберегти конфіденційність до релізу патчів, атаки почалися заздалегідь. Хмарна компанія Amazon зафіксувала спроби експлуатації вразливостей ще за тиждень до офіційної публікації захисту. Після розкриття інформації моніторингові платформи Cloudflare та Palo Alto Networks констатували стрімке зростання кількості атак і перші підтверджені випадки проникнення в корпоративні мережі. Дослідники з компанії Calif використали алгоритми штучного інтелекту для підтвердження концепції злому, що свідчить про прискорення темпів виявлення слабких місць у застарілому софті.

Криза знову актуалізувала проблему стійкості відкритого програмного забезпечення (open-source), на якому тримається глобальна цифрова економіка. Подібні технології десятиліттями розробляються неприбутковими спільнотами без належного бюджету на регулярний безпековий аудит, тоді як корпорації монетизують їх без належних фінансових внесків у безпеку. Крім того, PHP належить до мов без вбудованого захисту пам'яті: на такі недоліки припадає близько 75% експлуатованих вразливостей у світі, що посилює тиск на бізнес щодо міграції на сучасніші стандарти, зокрема Rust чи Python.

Що це означає: для бізнесу використання застарілих вебрішень спричиняє прямі фінансові збитки від вимушеного простою сервісів та зростання витрат на терміновий IT-аудит. Нездатність вчасно оновити інфраструктуру наражає компанії на ризики витоку комерційних даних, вимагання викупу та регуляторних штрафів за порушення вимог кібербезпеки.